電子發(fā)燒友App
近期數(shù)據泄露等安全事件頻發(fā)，嚴重侵害個人信息主體權益，影響國家安全、經濟發(fā)展和社會穩(wěn)定。以歐盟、美國為代表的地區(qū)和國家紛紛出臺個人信息保護、數(shù)據安全的法律法規(guī)和管理規(guī)范，進一步明確企業(yè)數(shù)據安全保障的責任和義務。我國也積極加強數(shù)據安全管理布局，出臺《中華人民共和國網絡安全法》，提高數(shù)據安全管理要求。
在此背景下，通過數(shù)據加密、數(shù)據脫敏、數(shù)據防泄露、數(shù)據追蹤溯源以及數(shù)據庫安全防范等技術手段保護個人隱私，保障數(shù)據完整性、保密性和可用性的需求凸顯。同時，世界主要國家也在積極研究突破核心技術，探索構建數(shù)據安全技術解決方案?；诖?，本文將通過研究梳理國內外數(shù)據安全技術手段發(fā)展現(xiàn)狀，分析總結存在的問題，并提出對策建議，以期提升我國數(shù)據安全技術保障能力，降低數(shù)據安全風險。
我國數(shù)據安全技術發(fā)展現(xiàn)狀
第一，敏感數(shù)據識別技術向智能化發(fā)展，企業(yè)探索部署數(shù)據安全防泄露工具。
敏感數(shù)據識別技術作為數(shù)據防泄露、數(shù)據分級分類管控和敏感數(shù)據加密等數(shù)據安全防護技術的基礎受到國內外高度重視。一是在傳統(tǒng)的關鍵字識別基礎上，相關企業(yè)通過引入規(guī)則匹配、自然語言處理等技術擴大識別范圍，提高識別精度。二是結合聚類分析等機器學習技術，通過大數(shù)據的累積訓練提升敏感數(shù)據識別的智能化程度。在此基礎上，國內外各企業(yè)積極探索實踐，針對數(shù)據的使用、存儲、傳輸?shù)葦?shù)據泄露高風險階段，以敏感數(shù)據識別技術為核心研發(fā)數(shù)據安全防泄露產品，通過部署在企業(yè)數(shù)據流動的關鍵節(jié)點，實現(xiàn)對數(shù)據泄露行為的泄露預警發(fā)現(xiàn)和攔截處置。例如Forcepoint等外國企業(yè)已經將數(shù)據安全防泄露產品商業(yè)化，形成了一套覆蓋網絡和終端的企業(yè)數(shù)據防泄露組件;我國各大安全廠商積極研究數(shù)據防泄露技術手段，布局數(shù)據防泄露市場，2017年我國數(shù)據泄露防護市場規(guī)模達到7.8億元，同比增長25.3%，2020年將超過14.7億元。
第二，結構化數(shù)據庫事前、事中、事后全流程安全保障技術體系成熟，非結構化數(shù)據庫安全防護手段單一。
數(shù)據庫根據存儲架構、存儲數(shù)據類型不同，主要分為結構化數(shù)據庫和非結構化數(shù)據庫兩種。在結構化數(shù)據庫安全方面，構建以事前評估加固、事中安全管控和事后分析追責3種方式為主的安全防護體系。其中，事前評估加固主要采用數(shù)據庫漏洞掃描技術，事中安全管控主要采用數(shù)據庫防火墻及數(shù)據加密、脫敏技術，事后分析追責主要采用數(shù)據庫審計技術。例如華為云數(shù)據庫安全服務建立了以數(shù)據庫防火墻、數(shù)據庫安全審計等技術為核心的商用數(shù)據庫安全體系，截至目前，華為已經為100余家企業(yè)提供該安全服務，保障數(shù)據庫安全。
在非機構化數(shù)據庫安全防護方面，由于其數(shù)據類型的多樣性，目前各企業(yè)尚無典型有效的安全防護技術，主要從網絡、存儲、終端3方面部署數(shù)據防泄露、防病毒等相關產品，保障非結構化數(shù)據安全。
第三，數(shù)據追蹤溯源技術處于研究發(fā)展階段，大規(guī)模應用實踐尚未開展。
國內外企業(yè)聚焦數(shù)據水印和數(shù)據血緣追蹤技術進行探索研究，提升數(shù)據安全事件溯源處置的能力，降低安全風險。一是數(shù)字水印技術，其技術實現(xiàn)原理是在不影響數(shù)據讀取和應用的前提下，將數(shù)據水印通過信息處理嵌入到數(shù)據內容中，實現(xiàn)對數(shù)據的標記與追蹤。目前數(shù)字水印技術因其對處理資源和存儲資源的高占用、高依賴，多適用于相對穩(wěn)定的小型數(shù)據集，無法大規(guī)模應用于云計算、大數(shù)據等大量數(shù)據匯聚的場景。二是數(shù)據血緣追蹤技術，主要技術原理是通過建立數(shù)據血緣圖譜，對數(shù)據流轉過程進行實時記錄，追蹤分析數(shù)據安全事件的原因，降低安全風險。目前該技術正處在研究驗證階段，僅阿里、順豐等部分企業(yè)探索應用，產業(yè)化應用尚不成熟。
第四，數(shù)據加密技術分場景細化發(fā)展，新型加密手段逐漸涌現(xiàn)。
數(shù)據加密技術作為最基本、有效的數(shù)據安全防護技術，得到廣泛應用，根據應用場景和加密方式的不同，分為可逆加密和不可逆加密兩種。一是可逆加密，對數(shù)據通過特定算法加密后變成密文，只有通過相應密鑰才能將密文解密成明文。在網絡支付中的數(shù)字證書、日常文件加密等均采用可逆加密技術。二是不可逆加密，經過不可逆加密算法處理的數(shù)據無法恢復出明文，只能利用同一算法對相同數(shù)據再次加密，比對密文進行驗證。例如防止數(shù)據惡意篡改的數(shù)字指紋、Unix系統(tǒng)的登錄認證等均采用不可逆加密技術。與此同時，隨著云計算、量子計算等新興技術的發(fā)展以及計算機處理速度的提升，傳統(tǒng)加密算法的效率與強度逐漸難以滿足業(yè)務需求，被破解失效的風險日益升高。
在此背景下，各國積極開展數(shù)據加密技術的研究工作，量子加密、后量子加密等新型加密算法被不斷提出，以適應未來數(shù)據安全發(fā)展需要。例如美國Quantum Xchange公司正嘗試運用量子加密技術在美國東北部建設量子加密網絡，以期為華爾街銀行和其他企業(yè)提供服務;德國infineon公司已經將后量子密碼技術應用到非接觸式安全芯片上，以應對未來量子計算對傳統(tǒng)加密算法的威脅。此外，各國高度重視新興密碼技術專利的申請，截至2017年，美國、歐盟和日本分別獲得220件、127件以及265件量子密碼相關專利。
第五，數(shù)據脫敏成為個人信息保護重點技術手段，國內外企業(yè)加強數(shù)據匿名化技術研究應用。
為平衡個人隱私保護和業(yè)務發(fā)展，各企業(yè)大力發(fā)展數(shù)據脫敏技術和匿名化技術。一是根據業(yè)務場景及需求，差異化應用數(shù)據脫敏技術方案。在保密場景下，使用加密技術對數(shù)據進行脫敏，有效保護個人數(shù)據。在群體信息統(tǒng)計場景下，使用數(shù)據失真技術，實現(xiàn)個人信息去標識化，同時輸出統(tǒng)計結果數(shù)據。在數(shù)據可逆需求場景下，采用位置變換、表映射等方式實現(xiàn)數(shù)據脫敏，最大限度保障數(shù)據的可用性。二是利用數(shù)據匿名化技術實現(xiàn)有條件地發(fā)布數(shù)據，防止用戶敏感數(shù)據的泄露。匿名化技術是指根據特定算法對數(shù)據進行變換，在保證數(shù)據可用性的同時確保數(shù)據無法定位到個人且無法還原，從而達到保護個體隱私信息的目的。目前匿名化技術主要包括差分隱私、K匿名等。近年來，數(shù)據匿名化技術得到業(yè)界廣泛關注并在數(shù)據交換、數(shù)據分析等環(huán)節(jié)初步開展應用。例如在國際方面，蘋果公司已經在搜索預測等方面應用差分隱私技術;在國內方面，阿里巴巴的數(shù)據匿名化技術也已獲得較大進展。
我國數(shù)據安全技術面臨四大難題
第一，法律法規(guī)要求不明確，技術手段研發(fā)推動力不足。
當前，我國數(shù)據安全管理體系初步建立，《中華人民共和國網絡安全法》和《電信和互聯(lián)網用戶個人信息保護規(guī)定》（工業(yè)和信息化部令第24號）等法律法規(guī)提出數(shù)據安全和個人信息保護原則性要求，但尚未明確技術手段建設的具體要求與處罰規(guī)則，無法有效推動企業(yè)開展數(shù)據安全技術手段的研發(fā)與應用。部分企業(yè)礙于運營成本和系統(tǒng)性能等因素，數(shù)據安全技術手段投入較少，數(shù)據安全技術研發(fā)與應用相對滯后，分級分類、權限管理等部分管理要求難以真正落地實施，繼而影響企業(yè)整體數(shù)據安全保障能力。
第二，國家標準規(guī)范尚未制定出臺，企業(yè)缺乏實施指引。
目前，我國數(shù)據安全技術相關國家標準和行業(yè)標準出臺較少，無法對企業(yè)形成有效指引。在數(shù)據加密、數(shù)據脫敏方面，對于數(shù)據脫敏的方法、流程以及效果等均尚未形成統(tǒng)一標準，各企業(yè)理解存在較大偏差，數(shù)據安全技術手段應用落地效果無法保障。在數(shù)據分級分類方面，國家和行業(yè)均未形成分級分類目錄指引，企業(yè)自行制定分級分類規(guī)則，科學性、合理性無法保障。
第三，數(shù)據安全技術起步研發(fā)較晚，部分技術尚不具備落地應用條件。
隨著數(shù)字經濟的發(fā)展，數(shù)據處理場景顯著增多，數(shù)據處理量級明顯提高，傳統(tǒng)的網絡安全技術已無法滿足當前數(shù)據量巨大、數(shù)據更新速度極快的場景。數(shù)據安全技術作為新興技術領域，發(fā)展時間尚短，部分技術手段與解決方案正處在研究發(fā)展階段，缺乏應用實踐，無法有效保障數(shù)據安全。例如數(shù)字血緣追蹤技術、數(shù)據字段打標簽技術等目前尚不成熟，對業(yè)務運營的影響有待進一步研究，大規(guī)模落地應用尚需時日。
第四，現(xiàn)有系統(tǒng)龐雜，數(shù)據安全技術改造落地難度較大。
我國數(shù)據安全管理起步較晚，目前大部分企業(yè)面臨存量業(yè)務系統(tǒng)數(shù)據安全改造的難題。一是數(shù)據資產梳理難度較大。前期企業(yè)內部各業(yè)務系統(tǒng)數(shù)據字段名稱不統(tǒng)一，數(shù)據類型繁雜、數(shù)量龐大，數(shù)據資產梳理作為數(shù)據安全技術手段建設的基礎工作難以有效開展。二是影響業(yè)務現(xiàn)有系統(tǒng)性能，加大企業(yè)投入。數(shù)據加解密、脫敏等技術，一定程度占用系統(tǒng)資源，影響系統(tǒng)性能和用戶體驗，進行數(shù)據安全技術改造需要升級硬件設備，增加企業(yè)成本投入。三是影響業(yè)務系統(tǒng)運行風險較高。數(shù)據安全防護技術的改造往往伴隨著核心系統(tǒng)的改造，難度較高，風險較大。同時，數(shù)據安全技術改造屬于新興技術領域，目前企業(yè)可參考的成熟技術方案及實踐案例較少，企業(yè)顧慮較大。
對策建議
第一，加快出臺數(shù)據安全法律法規(guī)，明確提出數(shù)據安全技術手段應用要求。
一方面，建議加快推動《數(shù)據安全法》《個人信息保護法》《數(shù)據安全管理辦法》和《數(shù)據出境安全評估辦法》等相關法律法規(guī)的制定出臺，構建我國數(shù)據安全管理體系，明確企業(yè)數(shù)據安全技術手段建設的責任和義務。另一方面，在數(shù)據分級分類、數(shù)據加密、個人信息去標識化等重點領域加快起草制定相關標準規(guī)范，細化明確分級分類規(guī)則、加密算法強度、去標識化算法及應用場景等，為技術產品研發(fā)提供支撐。
第二，研究提出數(shù)據安全技術手段總體視圖與市場報告，促進數(shù)據安全技術產業(yè)健康發(fā)展。
建議開展數(shù)據安全技術體系研究，形成具有共識性的數(shù)據安全技術產品體系總體視圖，明確數(shù)據安全技術防護手段的方式、類型、性能以及應用場景、適用范圍等，指引需求側企業(yè)開展數(shù)據安全技術能力建設，增強數(shù)據安全綜合保障能力。同時，發(fā)布數(shù)據安全技術產品市場報告，涵蓋我國數(shù)據安全技術產品供需關系情況、成熟度情況、技術薄弱環(huán)節(jié)等，支撐供給側企業(yè)開展數(shù)據安全技術手段研發(fā)投入，促進市場良性發(fā)展。
第三，倡導數(shù)據安全“產學研”相結合，鼓勵數(shù)據安全新技術的研發(fā)應用。
鼓勵高校、科研院所和企業(yè)聯(lián)合開展數(shù)據安全技術研發(fā)深度交流合作，通過組建技術發(fā)展聯(lián)盟、成立聯(lián)合實驗室等方式，合力推進數(shù)據資產盤查、數(shù)據特征值提取、數(shù)據加密、數(shù)據匿名化、數(shù)據血緣追蹤以及數(shù)據防泄露等數(shù)據安全技術的研究。同時，對于新型數(shù)據安全技術研發(fā)成果，積極開展試點應用工作。在完善產品性能的同時，加速成果轉化與落地應用，切實提高我國企業(yè)數(shù)據安全防護能力。
責編AJX
工商網監(jiān)
評論